Comment protéger les données d'une entreprise ?

Les données sensibles

Avant de réaliser une checklist des différents moyens pour protéger vos données, il paraît important de rappeler ce que l’on nomme « données sensibles ». Au sein d’une entreprise, les données sensibles correspondent souvent à des informations de valeur économique ou financière (moyens de paiement, données bancaires), personnelles (informations de l’entreprise, noms des salariés) ou encore stratégiques (moyens de communication, plans d’action). On les définit en 5 catégories :

• les données personnelles (coordonnées des salariés, des partenaires, des clients, etc.) ;

• les données stratégiques (décisions, projets de recrutements, bilans) ;

• les données confidentielles de savoir-faire (méthodes de conception, prototypes, fiches produits, secrets de fabrication, données de propriété intellectuelle) ;

• les données économiques (politiques tarifaires, rémunération des employés, trésorerie, budgets) ;

• les données légales (informations de conformité, contraintes légales).

Toutes ces données dites sensibles doivent faire l’objet d’une haute protection. Le RGPD (Règlement Général sur la Protection des Données) oblige les entreprises à protéger ces données pour éviter leur piratage, mais aussi leur perte ou leur altération.

Pour cela, respecter une checklist, afin de ne rien oublier, pour sécuriser les données en entreprise est plus que nécessaire.

1. Sauvegarder les données quotidiennement

La sauvegarde des données de votre entreprise doit être très régulière, pour ne pas dire quotidienne. Cette sauvegarde doit se faire sur des supports externes, c’est-à-dire hors des serveurs de votre entreprise.

Vos données (et celles de vos clients, fournisseurs, etc.) sont précieuses. Pensez à les protéger au maximum en les stockant sur un disque dur externe, par exemple, ou encore sur des sauvegardes en ligne de type serveur extérieur (data center) telles que DropBox ou Oodrive. En cas d’incident technique ou de perte de données, vous avez tout de même la possibilité de retrouver l’essentiel de vos données d’entreprise avec une sauvegarde à jour.

Peu d’entreprises ont encore ce réflexe. Pourtant, la mise en place de systèmes de stockage est essentielle pour sécuriser les données en entreprise. En cas de défaillance sur votre système de stockage interne (serveurs de l’entreprise), si vos données sont sauvegardées quotidiennement sur un système de sauvegarde externe (ou encore mieux, sur plusieurs supports), vous êtes capables de les récupérer, de les restaurer et de les réutiliser instantanément.

2. Adopter une politique stricte de mot de passe

Premiers portails de cybersécurité : les mots de passe. Un bon mot de passe réduit les risques de piratage informatique, de vols de données ou de cyberattaque. Ainsi, vos mots de passe doivent faire l’objet d’une attention toute particulière lorsque vous les définissez :

• il doivent être uniques et travaillés avec des chiffres, des lettres autant en minuscule qu’en majuscule, des symboles et caractères spéciaux. Évitez les mots de passe qui ont une signification trop claire comme votre date d’anniversaire ou le nom de vos enfants ;

• ils doivent être différents selon le logiciel utilisé ou la messagerie (type professionnelle/personnelle) ;

• vous devez modifier immédiatement les mots de passe fournis par défaut ;

• ils ne doivent pas être enregistrés par les navigateurs ou les applications (refus de la connexion automatique grâce à la sauvegarde de votre mot de passe voire même de vos identifiants) ;

• ils doivent être modifiés régulièrement, et immédiatement après un piratage ou une tentative de piratage. Vous pouvez vous créer une alerte tous les 3 mois environ pour penser à changer vos mots de passe de manière systématique. Si vous n’êtes pas très inspiré, sachez qu’il existe des générateurs de mots de passe qui permettent de vous en fournir selon vos critères (longueur, caractères, etc.).

Enfin, ne gardez jamais de trace écrite de vos mots de passe, qu’il s’agisse d’une note sur votre ordinateur, sur votre téléphone ou sur un post-it. Ne partagez pas vos mots de passe, ni à l’oral ni à l’écrit (notamment par mail) : ils n’appartiennent qu’à vous  !

3. Restreindre les accès aux données

Sécuriser les données en entreprise, c’est aussi les protéger en interne. Pour cela, il est essentiel de créer des profils utilisateurs en adéquation avec le poste et la fonction de chaque salarié interne ou externe à l’entreprise (intervenant, par exemple).

Vous pouvez établir des accès mais aussi des restrictions pour limiter l’utilisation des données de votre entreprise. Restreindre les accès aux données empêche les manipulations hasardeuses ou frauduleuses, l’échange de données inutiles ainsi que leur vol, perte ou leur destruction.

Pour sécuriser les données en entreprise, vous devez donc non seulement restreindre l’accès aux ressources (stockage interne et supports externes type Cloud), mais aussi vérifier l’identité et l’authenticité des utilisateurs qui peuvent y accéder.

Cette vérification passe par deux étapes-clé :

• l’authentification, avec l’identité de l’utilisateur à travers un identifiant personnel et dédié, un mot de passe voire une authentification multifactorielle (empreinte, question de sécurité) ;

• et l’autorisation, avec la détermination d’un niveau d’accès pour chaque utilisateur selon son poste, son rôle et ses actions au sein de l’entreprise.

Autre restriction et non des moindres : faites en sorte de conserver vos droits administrateurs en tant que chef d’entreprise. Autoriser l’accès à ces données uniquement si nécessaire et à des personnes de confiance.

4. Chiffrer les données de l'entreprise

Le cryptage ou chiffrement de données peut être utilisé dans l’échange de mails : il s’agit de données cryptées qui permettent de sécuriser vos communications vers l’extérieur comme en interne, mais aussi les paiements ou les pièces jointes.

En pratique, lorsque les données sont chiffrées, votre interlocuteur doit posséder un logiciel spécifique pour y accéder, ou éventuellement un mot de passe. Il existe des outils comme Zed ! ou 7-zip qui permettent de crypter vos données gratuitement et en toute sécurité. Ainsi, dans le cas où vos données sont chiffrées, même s’il y a vol, les détenteurs malintentionnés ne seraient pas en mesure de les lire sans la clé de chiffrement appropriée.

5. Souscrire une assurance cybersécurité

Depuis l’ère informatique, l’émergence d’assurances spécifiques a été inévitable face aux cyberattaques. Une assurance cybersécuritéest donc l’un des points clés pour sécuriser vos données en entreprise. Elle ne sert pas uniquement en cas d’attaque informatique, mais également en cas de cyberincident. Elle vous protège en amont des cyber défaillances et vous offre une garantie des données perdues ou volées en cas de cyber attaque ou incident.

Ainsi, une assurance cybersécurité vous permet, selon votre contrat :

• d’être mis en relation avec des experts informatiques et juridiques en cas de cyberattaque, afin d’identifier la source du problème ;

• de couvrir l’intégralité des frais en cas de cyberattaque ;

• de vous assister dans la gestion de crise ;

• de restaurer votre système informatique, de remplacer votre matériel infecté par des virus, de couvrir vos dommages immatériels ;

• de couvrir les frais de perte d’exploitation ou de gérer une négociation en cas de demande de rançon, par exemple ;

• d’assurer les frais liés à votre défense juridique, votre demande de dommages et intérêts, vos sanctions financières en cas de mise en cause de votre responsabilité (cyber-responsabilité en lien avec l’irrespect des RGPD ou de la divulgation des données).

6. S'équiper d'un VPN professionnel

Vous avez sans doute déjà entendu parler des VPN (Virtual Private Network pour Réseau Privé Virtuel en français). Saviez-vous qu’il existait des VPN professionnels ? Leur rôle est de crypter efficacement les échanges, les navigations et les données utilisateurs à chacune de leur connexion. En somme, ils agissent comme un serveur proxy et permettent aux différents salariés de l’entreprise de se connecter à leur poste de travail qu’ils soient sur place, à l’extérieur (télétravail) ou en itinérance sur un réseau wifi (même public).

Sans VPN professionnel, vos données peuvent être exposées au vol ou encore à l’espionnage. Obtenir un VPN dédié aux entreprises, c’est assurer un cryptage optimal de ses données, partout et à tout moment.

Son installation est simple et il est, en général, adapté à n’importe quel type d'appareil. Il vous faudra simplement installer un NAS (serveur d’accès au réseau dédié à votre entreprise) et le logiciel VPN sur les ordinateurs et mobiles de vos salariés et utilisateurs.

7. Faire un audit de cybersécurité

Sécuriser les données en entreprise passe aussi par l’information. Depuis la crise du Covid-19, le télétravail s’est démocratisé, obligeant les salariés à travailler hors de l’entreprise. Un nouveau mode de travail qui a poussé à la recrudescence des cyberattaques.

Être conscient des risques encourus avec une mauvaise protection des données est une base, mais l’information et la formation permettent de pallier la mise en danger de données sensibles. Pour cela, la cybersécurité doit être un sujet central dans les entreprises : évaluer les risques, connaître les conséquences d’une défaillance ou d’une mauvaise protection, mettre en place des mesures pour contrer les incidents ou les cyberattaques, autant d’indications à connaître pour les employés, mais aussi pour le chef d’entreprise.

Réaliser un audit de cybersécurité est donc un moyen supplémentaire de sécuriser les données en entreprises. Grâce à cet audit, dirigeants et salariés peuvent connaître les dangers et les failles de leur site et y être sensibilisés, mais surtout se former aux gestes simples comme la confidentialité des mots de passe, le verrouillage de leur profil utilisateur, la protection de leurs outils informatiques, les différents pare-feux, ou encore l’analyse des outils externes (DDE, clé USB) via un antivirus avant toute utilisation.

Sécuriser les données en entreprise est capital. La protection des données sensibles offre à votre entreprise la pérennité, la santé mais aussi la réputation : vos clients, vos interlocuteurs, vos fournisseurs, veulent avant tout être protégés. Cela passe évidemment par la protection des outils informatiques et postes de travail, mais aussi par la sensibilisation de chaque membre de l’entreprise. Une politique de prévention à travers un audit de cybersécurité est donc l’un des piliers de cette checklist pour éviter des risques de vol, de perte ou de dégradation des données sensibles de l’entreprise.